Protéger les données à l’ère de l’informatique quantique

Les technologies évoluent rapidement. Parmi elles, l’informatique quantique pourrait, à long terme, transformer la façon de protéger l’information numérique.

Le gouvernement du Québec agit dès maintenant pour protéger les données et les services numériques à long terme.

L’informatique quantique repose sur une nouvelle génération d’ordinateurs. Elle permet de réaliser certains calculs plus rapidement que les ordinateurs actuels.

Cette évolution technologique pourrait transformer plusieurs domaines, dont la sécurité numérique. Elle amène le gouvernement du Québec à adapter dès maintenant la protection des données.

La cryptographie

La cryptographie sert à protéger l’information numérique. Elle transforme les données afin que seules les personnes autorisées puissent les lire.

Vous pouvez la comparer à une serrure numérique : la clé permet d’accéder à l’information. Les technologies actuelles rendent le déchiffrement de ces données difficile avec les ordinateurs classiques.

La cryptographie permet de :

• garder les données confidentielles;
• sécuriser les échanges sur Internet;
• préserver l’intégrité de l’information.

Aujourd’hui, la sécurité numérique repose sur des méthodes difficiles à contourner avec les ordinateurs classiques. Les ordinateurs quantiques offriront une capacité de calcul supérieure à celle des ordinateurs actuels. À terme, ils pourraient contourner plus rapidement certaines protections actuelles.

La cryptographie est intégrée à de nombreux systèmes, applications, réseaux et services numériques. La transition vers de nouveaux mécanismes de protection nécessitera donc des changements progressifs dans plusieurs technologies. Certains systèmes pourront évoluer grâce à des mises à jour logicielles. D’autres pourraient nécessiter une modernisation plus importante.

Comme ces mécanismes de protection sont présents dans de nombreuses technologies, cette transition s’échelonnera sur plusieurs années. Toutes les organisations sont concernées. Les priorités peuvent toutefois varier selon la nature de leurs activités, la sensibilité des renseignements traités et la durée de vie de leurs systèmes.

Les calendriers de transition dépendront notamment de l’évolution des normes, de la disponibilité des solutions technologiques et du contexte propre à chaque organisation.

Récolter maintenant, décoder plus tard

La stratégie appelée « Récolter maintenant, décoder plus tard » consiste à recueillir aujourd’hui des données chiffrées afin de tenter de les déchiffrer dans le futur grâce aux technologies quantiques.

Les renseignements qui doivent demeurer confidentiels pendant plusieurs années demandent donc une attention particulière.

Pour maintenir la sécurité des données à long terme, le gouvernement du Québec prépare dès maintenant la transition vers l’ère postquantique.

La migration quantique

La migration quantique est une période de transition. Elle vise à adapter progressivement les systèmes afin qu’ils demeurent sécuritaires à l’ère de l’informatique quantique.

Cette transition commence dès maintenant, puisque la mise à jour des systèmes est complexe et s’échelonne sur plusieurs années.

Mieux connaître les systèmes à protéger

La préparation commence par une meilleure compréhension des systèmes qui utilisent des mécanismes cryptographiques. Cette démarche comprend notamment la réalisation d’un inventaire cryptographique. Cet inventaire consiste à recenser les systèmes, les applications, les équipements et les services qui utilisent des mécanismes cryptographiques.

L’inventaire peut notamment recenser différents éléments technologiques qui utilisent des mécanismes cryptographiques :

• les certificats numériques;
• Les infrastructures à clés publiques (PKI);
• Les applications métiers;
• Les équipements réseau;
• Les services infonuagiques;
• Les services d’authentification;
• Les produits fournis par des tiers.

Comme la cryptographie est souvent intégrée aux technologies de façon peu visible, cet inventaire aide à brosser un portrait plus complet des mécanismes de protection utilisés. Il aide également à établir les priorités en tenant compte notamment :

• de la sensibilité des renseignements protégés;
• de l’importance des services;
• de la durée de vie prévue des systèmes;
• de la complexité des infrastructures;
• des dépendances technologiques et de celles liées aux fournisseurs.

Cette démarche permet de mieux comprendre les systèmes à protéger et d’orienter les travaux de transition.

Développer l’agilité cryptographique

L’agilité cryptographique correspond à la capacité de mettre à jour les mécanismes de protection utilisés par un système sans devoir le remplacer entièrement. Elle facilite l’adaptation aux nouvelles exigences de sécurité, à l’évolution des technologies et aux futures normes reconnues.

Pour renforcer cette capacité, il est notamment possible :

• de documenter les mécanismes cryptographiques utilisés;
• de limiter les dépendances difficiles à modifier;
• de prévoir des architectures évolutives;
• d’intégrer les exigences cryptographiques dans les processus de conception.

L’agilité cryptographique contribue également à la résilience des systèmes numériques face à l’évolution des technologies et des menaces.

Préparer les projets numériques

Les projets de développement, d’acquisition ou de modernisation offrent l’occasion d’intégrer dès maintenant des principes favorisant l’évolution future des mécanismes cryptographiques.

Les nouveaux mécanismes cryptographiques peuvent avoir des effets sur la compatibilité, les performances ou l’intégration avec certains systèmes existants. Les essais permettent d’évaluer ces effets et de réduire les risques avant le déploiement. Des environnements d’expérimentation peuvent également être utilisés pour valider les solutions, évaluer leurs répercussions techniques et acquérir de l’expérience avant la mise en production.

Parmi les principaux défis de la transition :

• Les systèmes hérités;
• Les dépendances technologiques complexes;
• Le manque de visibilité sur les mécanismes cryptographiques utilisés;
• Les contraintes liées à la mise à jour de certains équipements ou logiciels;
• La coordination des travaux avec les fournisseurs et les partenaires.

Une transition sur plusieurs années

La préparation s’inscrit dans une démarche à long terme :

• D’ici 2031 : protection des infrastructures critiques;
• D’ici 2035 : protection de l’ensemble des infrastructures gouvernementales.

Cette approche progressive permet d’assurer la continuité des services tout en renforçant la sécurité.

Les grandes étapes de la démarche

Phase 1 – Préparation (en cours)

Objectif : planifier la transition.

• Créer un comité de suivi;
• Désigner des responsabilités claires;
• Planifier les budgets;
• Développer des formations.

Phase 2 – Détermination

Objectif : déterminer ce qui doit être protégé.

• Inventorier les systèmes;
• Documenter les mécanismes de chiffrement;
• Recenser les principales composantes cryptographiques;
• Établir les priorités selon les risques.

Phase 3 – Transition

Objectif : mettre à jour les systèmes de façon sécuritaire.

• Planifier les mises à niveau;
• Migrer ou remplacer les systèmes;
• Effectuer des essais;
• Évaluer les effets sur la compatibilité et les performances;
• Vérifier l’intégration avec les systèmes existants;
• Déployer les solutions en production.

Collaborer avec les fournisseurs et les partenaires

Les fournisseurs jouent un rôle important dans la transition vers l’ère postquantique. Comme ils développent et maintiennent une grande partie des technologies utilisées par les organisations, leur préparation influence directement la capacité à moderniser les systèmes et les services numériques.

Lors de l’évaluation d’un fournisseur ou d’une solution technologique, plusieurs éléments peuvent être pris en compte :

• L’existence d’une feuille de route postquantique;
• Les engagements concernant les mises à jour futures;
• La compatibilité avec les nouvelles normes de sécurité;
• Les mécanismes de soutien offerts à la clientèle.

Lors d’un processus d’acquisition, les critères d’évaluation peuvent également inclure :

• La capacité d’évolution du produit;
• Son agilité cryptographique;
• Les engagements du fournisseur;
• Les possibilités de mise à jour;
• La documentation disponible.

La transition touchera souvent plusieurs organisations en même temps. Une compréhension commune des enjeux facilite la coordination des travaux et contribue à réduire les risques d’incompatibilité entre les systèmes.

Gouvernance et planification

La préparation à l’ère postquantique mobilise plusieurs expertises, notamment en cybersécurité, en gestion des risques et en technologies de l’information.

Les considérations postquantiques peuvent être intégrées à la planification des organisations, notamment dans les stratégies numériques, les analyses de risques, les plans de modernisation, les feuilles de route technologiques et les décisions d’investissement.

Une préparation amorcée tôt facilite la transition. Elle contribue à maîtriser les coûts de migration, à réduire les contraintes opérationnelles, à favoriser l’utilisation de technologies évolutives et à mieux planifier les mises à niveau.

Planifier dès aujourd’hui

Plusieurs activités peuvent commencer dès maintenant :

• Réaliser un inventaire cryptographique;
• Identifier les systèmes les plus critiques;
• Documenter les dépendances technologiques;
• Intégrer les considérations postquantiques aux nouveaux projets;
• Discuter avec les fournisseurs;
• Élaborer une feuille de route de transition;
• Planifier les futures mises à niveau.

Les normes, les méthodes d’implantation et les bonnes pratiques continueront d’évoluer au cours des prochaines années. Vous pouvez suivre l’évolution du domaine auprès du ministère de la Cybersécurité et du Numérique, du Centre canadien pour la cybersécurité (CCCS), de l’Institut national des normes et de la technologie (NIST), des organismes de normalisation internationaux, des autorités gouvernementales compétentes et des fournisseurs technologiques.

Des données mieux protégées

En se préparant à l’ère postquantique, le gouvernement du Québec :

• renforce la protection des données sensibles;
• anticipe les menaces à venir;
• contribue à offrir des services numériques fiables et durables.

Cette approche contribue à maintenir la confiance du public dans l’environnement numérique gouvernemental.